Уязвимость Lodash в Angular проекте - PullRequest
Новая
       8

Уязвимость Lodash в Angular проекте

0 голосов
/ 21 ноября 2018

После установки npm в шаблон blur-admin https://github.com/akveo/blur-admin

У меня возник ряд проблем, которые я исправил, используя рекомендации по запуску в диалоговом окне аудита npm.Однако я не могу исправить один даже после запуска 

$ npm install lodash@latest --save

Я обновил файл lodash в package.json: 

{
  "name": "blur_admin",
  "version": "1.3.1",
  "devDependencies": {
    "bower": "~1.8.4",
    "browser-sync": "^2.26.3",
    "browser-sync-spa": "~1.0.3",
    "chalk": "~1.1.1",
    "del": "~2.2.2",
    "eslint-plugin-angular": "~0.12.0",
    "estraverse": "~4.2.0",
    "gulp": "^4.0.0",
    "gulp-angular-filesort": "^1.2.1",
    "gulp-angular-templatecache": "~2.0.0",
    "gulp-autoprefixer": "~3.1.1",
    "gulp-eslint": "^5.0.0",
    "gulp-filter": "~4.0.0",
    "gulp-flatten": "~0.3.1",
    "gulp-gh-pages": "^0.5.4",
    "gulp-inject": "~4.1.0",
    "gulp-load-plugins": "~1.4.0",
    "gulp-minify-css": "~1.2.1",
    "gulp-minify-html": "~1.0.4",
    "gulp-ng-annotate": "~2.0.0",
    "gulp-prompt": "^1.1.0",
    "gulp-protractor": "^4.1.0",
    "gulp-rename": "^1.2.2",
    "gulp-replace": "~0.5.4",
    "gulp-rev": "~7.1.2",
    "gulp-rev-replace": "~0.4.2",
    "gulp-sass": "^4.0.1",
    "gulp-shell": "^0.5.2",
    "gulp-size": "~2.1.0",
    "gulp-sourcemaps": "~1.6.0",
    "gulp-uglify": "~2.0.0",
    "gulp-useref": "^3.1.6",
    "gulp-util": "~3.0.6",
    "gulp-zip": "^3.0.2",
    "http-proxy-middleware": "~0.17.2",
    "lodash": "^4.17.11",
    "main-bower-files": "~2.13.1",
    "uglify-save-license": "~0.4.1",
    "wiredep": "~4.0.0",
    "wrench": "~1.5.8"
  },
  "scripts": {
    "postinstall": "bower install"
  }
}

Но все равно получаю: PS D: \ dev \ Blur-Admintest \ blur-admin-master \ blur-admin-master> аудит npm 

                       === npm audit security report ===


                                 Manual Review
             Some vulnerabilities require your attention to resolve

          Visit https://go.npm.me/audit-guide for additional guidance


  Low             Prototype Pollution

  Package         lodash

  Patched in      >=4.17.5

  Dependency of   browser-sync-spa [dev]

  Path            browser-sync-spa > opt-merger > lodash

  More info       https://nodesecurity.io/advisories/577

found 1 low severity vulnerability in 13272 scanned packages
  1 vulnerability requires manual review. See the full report for details.
PS D:\dev\Blur-Admin test\blur-admin-master\blur-admin-master>

Я все перепробовал!

1 Ответ

0 голосов
/ 22 ноября 2018

Обычно это означает, что одна из других зависимостей проекта в вашем project.json имеет зависимость от lodash, и они не исправили свои pacakge.json.

В сообщении об ошибке указано, какое из них: "browser-sync-spa" и путь к нему: 

browser-sync-spa > opt-merger > lodash

Вам придется открыть вопрос оbrowser-sync-spa или opt-merger, чтобы обновить их repo/package.json или открыть для них PR.

Другой вариант - жить с этим или Fork их проектом, который является nuclear option.

...